Katalog podatności CVE

W urządzeniu GeoVision GV-LPC2211 w wersji V1.13 administrator może ustawić nazwę użytkownika zawierającą metaznaki powłoki, które zostaną wykonane jako dowolne polecenia roota przy późniejszym usunięciu zapisanej nazwy użytkownika.

W urządzeniu GeoVision GV-LPC2211 w wersji V1.13 użytkownik o uprawnieniach gościa może nadpisać konfigurację urządzenia i zastąpić hasło administratora poprzez SSVR.

W urządzeniu GeoVision GV-LPC2211 V1.13 użytkownik z uprawnieniami Guest może wejść w tryb aktualizacji oprogramowania SSVR i zakłócić działanie usług na żywo, zanim jakikolwiek obraz oprogramowania zostanie zweryfikowany.

W urządzeniu GeoVision GV-LPC2211 V1.13 użytkownik z uprawnieniami Guest może przez SSVR odczytać trwałą konfigurację urządzenia zawierającą poświadczenia administracyjne i użytkowników w postaci jawnej.

Urządzenie GeoVision GV-LPC2211 V1.13 zawiera podatność przepełnienia bufora stosu w mechanizmie składania fragmentów SSVR. Uwierzytelniony użytkownik może doprowadzić do awarii usługi SSVR.

W narzędziu crun po wykonaniu pivot_root ponowne otwarcie /dev/null dla stdio może podążyć za dowiązaniem symbolicznym i podłączyć plik hosta do stdio kontenera, a następnie zmienić właściciela tego pliku. Dotyczy wersji crun 1.29.1 i wcześniejszych. Konfiguracje domyślne montujące świeży /dev nie są narażone. Brak dostępnej wersji naprawionej.

W narzędziu crun, gdy konfiguracja kontenera nie zapewnia dedykowanego montowania /dev, konfiguracja terminala może przekierować /dev/console na ścieżkę kontrolowaną przez atakującego, w tym przez mechanizm awaryjnego montowania bind dla read-only-rootfs. Dotyczy wersji crun 1.29.1 i wcześniejszych. Konfiguracje domyślne montujące świeży /dev nie są narażone. Brak dostępnej wersji naprawionej.

W crun, gdy jest zbudowany z libkrun i kontener jest uruchamiany w trybie rootful z siecią passt (krun.use_passt), crun może wykonać ładunek kontrolowany przez atakującego z obrazu kontenera z uprawnieniami roota hosta. Jest to regresja w crun 1.29; problem dotyczy crun >= 1.29.

W funkcji fs_read_glyphs() klienta serwera czcionek libXfont2 (src/fc/fserve.c) tablica encoding[] jest indeksowana liczbą num_chars z odpowiedzi FS_QueryXBitmaps16, mimo że została zaalokowana na podstawie num_extents z osobnej odpowiedzi FS_QueryXExtents16. Te dwa pola CARD32 nie są wzajemnie weryfikowane. Złośliwy lub przejęty serwer czcionek może wysłać małe num_extents (np. 1), a następnie duże num_chars (np. 100000), powodując kontrolowane przez atakującego odczyty i zapisy poza granicami sterty.

W funkcji fs_read_glyphs() klienta serwera czcionek libXfont2 (src/fc/fserve.c) bitmapy glifów są kopiowane do jednego bufora, a istniejące sprawdzenia weryfikują jedynie, czy zakres źródłowy mieści się w buforze bitmapy źródłowej. Nie sprawdza się, czy bieżący kursor docelowy przekroczył rozmiar alokacji. Złośliwy serwer czcionek może wysłać nakładające się offsety źródłowe (np. 1000 glifów po {position:0, length:64} przy nbytes=64), co daje łącznie 64000 bajtów zapisu do bufora docelowego o rozmiarze 64 bajtów — przepełnienie bufora sterty z zawartością kontrolowaną przez atakującego.

W Bosch Sensortec COINES_SDK w wersjach od 2.0 do 2.11 funkcja coines_read_stream_sensor_data() nie weryfikuje granic bufora docelowego dostarczonego przez wywołującego. Mechanizm przetwarzania strumienia kopiuje całość danych z bufora pierścieniowego do coines_stream_rsp_buf, a następnie wykonuje memcpy bez sprawdzenia rozmiaru alokacji. Złośliwa lub przejęta płytka sprzętowa podłączona przez USB lub BLE może przesłać dużą liczbę próbek i wywołać przepełnienie bufora na hoście, co prowadzi do odmowy usługi lub potencjalnego wykonania dowolnego kodu.

Przepełnienie bufora na stercie w dekoderze protokołu PC bridge w BoschSensortec COINES_SDK (wersje 2.10 do 2.12.2) pozwala atakującym wywołać odmowę usługi (awaria procesu) lub potencjalnie wykonać dowolny kod. Dekoder ufa polu długości pakietu od urządzenia zewnętrznego i przekazuje je do kolejki odpowiedzi hosta bez walidacji granic bufora docelowego; złośliwe urządzenie USB lub BLE może ogłosić rozmiar ładunku do ~3 KB, przekraczając domyślny rozmiar slotu kolejki 255 bajtów, co powoduje nieograniczone nadpisanie sterty.

W Bosch BME690 SensorAPI (sterownik C) w wersji v1.0.3 i wcześniejszych wykryto podatność odczytu poza granicami bufora w logice parsowania danych w read_all_field_data (bme69x.c). Sterownik wstępnie pobiera rejestry konfiguracji grzejnika do 30-bajtowego bufora stosu, a podczas parsowania gas_index jest wyodrębniany za pomocą maski 4-bitowej bez weryfikacji zakresu (0..9). Atakujący lub przejęte urządzenie peryferyjne na magistrali I2C/SPI może zwrócić ładunek z indeksem gazu 10 lub wyższym, powodując dostęp poza granicami tablicy i odczyt do 6 bajtów poza buforem stosu. Wyciekły bajt jest zapisywany do publicznego pola gas_wait, co może prowadzić do zniekształcenia pomiarów lub wycieku sąsiedniej pamięci stosu.

Przepełnienie bufora na stosie w Bosch Sensortec BHI385 SensorAPI (biblioteka C) w funkcji parsera komunikatów debugowania bhi385_parse_debug_message (w bhi385_parse.c). Funkcja parsuje zdarzenia FIFO i pobiera 8-bitową długość komunikatu bezpośrednio z ładunku zdarzenia kontrolowanego przez atakującego (callback_info->data_ptr[0]) bez sprawdzania granic; kopiowanie do 17-bajtowego bufora stosu przez memcpy z długością większą niż 16 powoduje zapis poza granicami stosu, co może prowadzić do awarii firmware, odmowy usługi lub potencjalnego wykonania dowolnego kodu.

Przepełnienie bufora na stosie w Bosch Sensortec BHI360 SensorAPI (biblioteka C) w wersjach do commitu d6b200416a włącznie. Luka znajduje się w podsystemie parsowania FIFO i logowania debugowania w funkcji bhi360_parse_debug_message() w bhi360_parse.c (linie 1852-1875); parser ufa pierwszemu bajtowi ładunku jako długości komunikatu i kopiuje tę liczbę bajtów do 17-bajtowego bufora stosu przez memcpy bez sprawdzania granic. Atakujący lokalny lub fizycznie umiejscowiony może wstrzyknąć spreparowaną ramkę debugowania z bajtem długości większym niż 16, co uszkadza sąsiednie dane stosu, w tym zapisany adres powrotu; ponieważ przepełniony bufor jest następnie przekazywany do logowania w stylu printf, atakujący może dostarczyć specyfikatory formatu (np. %n), aby wykonać dowolny kod na mikrokontrolerze/SoC hosta lub spowodować niezawodną awarię systemu (odmowa usługi).

Podatność w Gemini CLI w wersji przed 0.39.1 pozwala atakującym na wykonanie dowolnego kodu poprzez nakłonienie ofiary do uruchomienia CLI w niezaufanym katalogu. Podatność jest wywoływana przez niezaufane pliki .env nadpisujące GEMINI_CLI_HOME, co prowadzi do załadowania złośliwych plików konfiguracyjnych i obejścia monitów o zaufanie do folderu.

W przepływie Device Authorization Grant w Keycloak występuje luka polegająca na tym, że proces wymiany tokenu nie sprawdza, czy konto użytkownika jest zablokowane przez ochronę przed atakami brute-force. Jeśli atakujący posiada aktywną sesję dla zablokowanego konta, może dokończyć logowanie urządzenia i otrzymać nowe tokeny bezpieczeństwa.

W komponencie skupper-router produktu Red Hat Service Interconnect występuje luka podczas przetwarzania specjalnie spreparowanej wiadomości sieciowej przez parser pól AMQP. Z powodu braku ograniczeń rekurencji podczas parsowania router może wyczerpać pamięć stosu i ulec awarii.

Podatność obejścia autoryzacji poprzez klucz kontrolowany przez użytkownika w Apache Camel K. Dzięki niej najemca może odwołać się do sekretów po nazwie w przestrzeni nazw operatora, co może ujawnić sekrety należące do innych najemców lub komponentów operatora. Problem dotyczy wersji od 2.0.0 przed 2.9.3 oraz od 2.10.1 przed 2.10.2.

Podatność typu code injection (niewłaściwa kontrola generowania kodu) w Apache Camel K. Wstrzyknięcie YAML w konfiguracji zasobu niestandardowego pozwala uprawnionemu autorowi CR na wstrzyknięcie dowolnych obiektów Kubernetes, co może umożliwić nieautoryzowane tworzenie zasobów z uprawnieniami operatora. Problem dotyczy wersji od 2.0.0 przed 2.9.3 oraz od 2.10.1 przed 2.10.2.